Evercrest Technologies, moederbedrijf van KelpDAO, heeft LayerZero Labs en een medeoprichter aangeklaagd vanwege de exploit van 18 april waarbij 116.500 rsETH, ongeveer $292 miljoen, werd leeggehaald. Ze beweren dat de single-verifier-configuratie van de bridge schriftelijk was gecontroleerd en goedgekeurd. Het is de eerste keer dat een DeFi-protocol zijn eigen infrastructuurprovider voor de rechter sleept, en het zet het oudste slogan van de sector op de proef.
De rechtszaak over de $292M DeFi Bridge-aansprakelijkheid heeft "Code is Law" gedood
Belangrijkste punten
- KelpDAO's moederbedrijf, Evercrest Technologies, heeft LayerZero Labs en medeoprichter Bryan Pellegrino aangeklaagd vanwege de exploit van 18 april waarbij 116.500 rsETH, ongeveer $292 miljoen, werd leeggehaald, de grootste DeFi-exploit van 2026.
- De claim draait om een 1-op-1 verifier-configuratie die LayerZero naar verluidt "schriftelijk heeft beoordeeld en goedgekeurd", maar vervolgens publiek toeschreef aan Kelp's eigen configuratie.
- Dit is de eerste keer dat een DeFi-protocol zijn eigen infrastructuurprovider voor de rechter sleept, een directe uitdaging van het principe "code is law".
- De aanvalskoppeling wordt gelinkt aan het Noord-Koreaanse Lazarus Group, maar het juridische geschil gaat tussen twee solvente crypto-bedrijven over wie de zwakke schakel bezat.
Een vervalst bericht, $292 miljoen, één block
Op 18 april 2026 overtuigde een enkel vervalst bericht een cross-chain bridge om 116.500 rsETH, ongeveer $292 miljoen, in één blok vrij te geven. Er werd geen privésleutel gestolen en er was geen storing in de smart contract. De code deed precies wat er werd opgedragen; het werd gewoon een leugentje verteld. De bridgebalans van Kelp daalde in dat blok van 116.723 rsETH naar 223 rsETH, wat betekent dat ongeveer 18 procent van de circulerende rsETH-voorraad de bridge verliet.
Op 24 september diende Evercrest Technologies, de moedermaatschappij van KelpDAO, een civiele vordering in tegen LayerZero Labs en medeoprichter Bryan Pellegrino bij de Supreme Court of British Columbia. In één enkele indiening kreeg het oudste slogan van DeFi een zittingsdatum.
Wat betekent 'code is law' wanneer de code fout is?
'Code is law' is al decennia lang het uitgangspunt van crypto: geen tegenpartijen, geen rechtbanken, geen menselijke fouten, alleen wiskunde. Een cross-chain bridge wordt beschouwd als de zuiverste uitdrukking van dat idee. Sluit een token op één chain op, mint een equivalent op een andere chain en laat verifiers in plaats van mensen de regels afdwingen. 'Trustless' was altijd al een halfwaarheid, omdat iemand de verifier moet beheren die controleert of tokens daadwerkelijk zijn verbrand voordat een equivalent bedrag elders wordt vrijgegeven.
In het geval van Kelp was die iemand LayerZero, specifiek een 1-op-1 gedecentraliseerd verifiernetwerk, of DVN. In de praktijk stond één verifier tussen een inkomend bericht en de vrijgave van $292 miljoen. Er was geen tweede mening en geen cross-check. Dat enkele punt van vertrouwen is het hele verhaal: de aanval doorbrak de bridge niet, het vergiftigde de ene sensor waarop de bridge vertrouwde.
Wie wint en wie verliest wanneer een bridge faalt?
De winnaars zijn eenvoudig te noemen. Rechters en externe adviseurs, op de eerste plaats. Chainlink's CCIP, het alternatief waar Kelp in mei naartoe migreerde, kreeg zichtbaarheid die advertentiebudgetten zelden kopen: Solv Protocol verplaatste ongeveer $700 miljoen aan SolvBTC van LayerZero, en Lombard, met $2,1 miljard aan totale vergrendelde waarde, volgde. Verzekerings- en auditbedrijven krijgen na elk kopverlies nieuw business. Elk protocol dat al multi-verifier redundantie draait, werd er door vergelijking aantrekkelijker.
De verliezers zijn eveneens duidelijk. De reputatie van LayerZero nam de directe klap op, en Aave draagt naar schatting $123,7 miljoen tot $230,1 miljoen aan slechte schuld nadat de aanvaller valse rsETH deponeerde en echte activa daartegen leende. De stilste slachtoffer is de hardline no-recourse positie, het argument dat in DeFi verliezen definitief zijn en niemand iemand iets schuldig is. Een crypto-bedrijf heeft nu aangetoond dat zelfs de eigen bouwers van de industrie die framing niet accepteren.
Het secundaire effect kan belangrijker zijn dan al het andere. De zin "beoordeeld en schriftelijk goedgekeurd" is nu een juridisch instrument. Documentatie, interne chatlogs en directe berichten van infrastructuurproviders zijn potentieel bewijsmateriaal voor ontdekking. Een golf van herschreven servicevoorwaarden in de cross-chain-industrie binnen twaalf maanden zou een onopvallend resultaat zijn.
Is dit eerder gebeurd?
Niet in deze vorm. In 2022 verloor Wormhole $325 miljoen en maakte Jump Crypto gebruikers binnen dagen schadeloos, zonder rechtbank en zonder schuldige spel. In 2023 verloor Multichain ongeveer $1,5 miljard, werd zijn chief executive gearresteerd in China, en de fondsen bleven bevroren zonder tegenpartij om te vervolgen. In 2022 verloor Ronin $625 miljoen en werd het opgelost via gecoördineerde backstops. De spelregels van DeFi waren binair: een stille reddingsoperatie of een luidruchtige ineenstorting. Er was geen derde optie.
Kelp's claim introduceert er een. Twee solvente crypto-bedrijven vragen een rechtbank te beslissen wie de zwakke schakel bezat: het protocol dat de brug implementeerde, of de infrastructuurprovider wiens enige verifier een vervalst bericht goedkeurde. LayerZero zei aanvankelijk dat zijn protocol "exact zoals bedoeld functioneerde" en dat gebruikers niet zouden moeten vertrouwen op een enkele DVN, maar erkende later dat het "een fout maakte door onze DVN toe te staan als 1-op-1 DVN voor hoogwaardige transacties op te treden." Kelp stelt dat LayerZero een aparte ontwikkelaar, USDT0, waarschuwde voor verifier-risico's in het late 2024 of vroege 2025, maar dezelfde waarschuwing niet aan Kelp door gaf. Die asymmetrie is wat litigatie onderzoekt.
Waar gaat de brugverantwoordelijkheid naartoe in één tot drie jaar?
Verwacht dat 'verantwoordelijkheidsinfrastructuur' een productcategorie wordt: juridische constructies, DAO-juridische entiteiten, on-chain verzekeringen en expliciete aansprakelijkheidsclausules opgenomen in integratieovereenkomsten. 'Wie verifieert jouw brug?' voegt zich bij 'wie auditeert jouw code?' op de checklists voor institutionele due diligence. De aanname dat een brugoperator vrijgesteld is van verantwoordelijkheid op het moment dat een transactie is voltooid, is achterhaald.
Een tweede kracht loopt parallel. Dezelfde week waarin Kelp diende, dagvaardde New York Polymarket wegens gokken, een herinnering dat geschillen tussen overheden en de industrie op eigen tempo versnellen. Regulators zullen crypto-tegen-crypto-rechtszaken lezen als een routekaart: waar de industrie het niet eens kan worden over verantwoordelijkheid, vullen rechtbanken en agentschuren het vacuüm op. Het tijdperk waarin deze zaken privé worden bijgelegd, eindigt omdat de verliezen te groot zijn geworden en de tegenpartijen nu groot genoeg zijn om ze aan te vechten.
Wat marktdeelnemers hieruit moeten halen
Dit is geen prijsverhaal en het moet niet zo worden gelezen. Het verandert hoe risico's moeten worden beoordeeld. Ten eerste verdienen single points of failure een herbeoordeling: kapitaal migreert steeds vaker naar opstellingen met meerdere verifieerders en providers, en protocollen die nog steeds een enkele DVN draaien, krijgen een korting die de markt nog niet volledig heeft ingeprijsd. Ten tweede gedragen geschreven endorsements zich nu als contingente verplichtingen; als een infrastructuurprovider een configuratie heeft goedgekeurd, is die goedkeuring een potentiële vordering tegen die provider. Ten derde beschrijft de toedracht in deze zaak, sociale manipulatie van een LayerZero-ontwikkelaar gevolgd door vergiftiging van zijn RPC-infrastructuur door een met Lazarus verbonden cluster bekend als TraderTraitor, een terugkerende, goed gefinancierde aanvalsvorm in plaats van een eenmalig incident. Sanctions-aware, compliant DeFi wordt een echt onderscheidend vermogen in plaats van een marketingterm.
De diepere les is dat de exploit geen key-compromise was. Het was infrastructuurvergiftiging, een aanvalsvorm die niet aan het licht komt tijdens een smart contract-audit. Een security-thesis die begint en eindigt met geauditeerde contracts, onderzoekt de verkeerde laag.
De vraag die niemand wil beantwoorden
Het meest veelzeggende detail is niet de $292 miljoen. Het is dat twee cryptoteams die beide vertrouwen in code prediken, nu een rechter vragen te beslissen wie van wie vertrouwde. Wanneer de eigen bouwers van DeFi weigeren "code is law" als antwoord te accepteren, zou de rest van de markt dat ook niet moeten doen. De echte vraag was nooit of crypto verantwoordelijkheid zou ontwikkelen, maar wie die schrijft: een rechtbank, of de DAO die er een zou moeten vervangen.
FAQ
Wat gebeurde er bij de KelpDAO-exploit? Op 18 april 2026 voeden aanvallers een vervalst bericht naar de enige verifier die Kelps LayerZero-brug beveiligde, waardoor deze 116.500 rsETH vrijgaf, ongeveer $292 miljoen, zonder een corresponderende burn op de bronketen. De brugbalans van Kelp daalde van 116.723 rsETH naar 223 rsETH in één blok.
Waarom dagt KelpDAO LayerZero? Kelp betoogt dat LayerZero de kwetsbare 1-op-1 verifier-configuratie "in het schriftelijk heeft beoordeeld en goedgekeurd", en daarna publiek de schuld gaf aan Kelps configuratie na het verlies, en dat LayerZero een andere ontwikkelaar waarschuwde voor verifier-risico's, maar Kelp nooit. De claim pleit voor nalatige misleiding, nalatigheid en smaad.
Betekent "code is law" dat niemand aansprakelijk is? In de praktijk nee. Het heeft over het algemeen betekend dat wanneer code faalt, de gebruiker het verlies draagt. Deze rechtszaak toont aan dat zelfs de eigen bouwers van de industrie nu recht op herstel verwachten: een rechter die moet beslissen wie de zwakke schakel bezat toen de code deed wat hem werd verteld, maar een leugen werd verteld.
Wie wordt ervan verdacht de fondsen te hebben gestolen? LayerZero's incidentrapport, met verwijzing naar Mandiant en CrowdStrike, schreef de inbraak toe aan TraderTraitor, ook gevolgd als UNC4899, een cluster gelinkt aan de Noord-Koreaanse Lazarus Group. De spoor van de fondsen leidt naar een staatsacteur, terwijl het rechtsdispuut blijft tussen Kelp en LayerZero.
Wat betekent dit voor andere bridges? Verwacht dat kapitaal blijft migreren naar multi-verifier, multi-provider opstellingen zoals Chainlink CCIP, en verwacht dat infrastructuurproviders hun servicevoorwaarden en disclaimer herzien. 'Wie verifieert jouw bridge?' is nu een due-diligence-vraag in plaats van een naspeursel.